discovery-media-player 0.1.113 → 0.1.114

package/context/standalone.js

@@ -685,6 +685,13 @@ function createStandaloneContext(env = process.env) {
       // Une fois les bundles déployés des deux côtés ET `presence.sansJeton` retombé à zéro : un
       // battement sans jeton de présence valide cesse d'être enregistré. Off par défaut (transition).
       presenceStrict: String(env.PLAYER_PRESENCE_STRICT || "") === "1",
+      // ⚠️ SEL DU HACHAGE D'IP. Un SHA-256 d'adresse IPv4 n'anonymise rien : l'espace entier se
+      // recalcule en quelques minutes, et la CNIL considère une IP hachée comme une donnée
+      // PSEUDONYMISÉE — toujours personnelle. Avec un sel secret, elle cesse d'être recalculable par
+      // qui obtient la base. Dédié si l'hôte en pose un ; à défaut on réutilise le secret de présence
+      // avec une SÉPARATION DE DOMAINE (préfixe distinct) — il est déjà requis par la fonctionnalité
+      // qui produit ce hachage, ce qui évite une variable obligatoire de plus.
+      ipHashSecret: String(env.PLAYER_IP_HASH_SECRET || env.PLAYER_PRESENCE_SECRET || ""),
     },
   };
 }

package/docs/RETENTION.md

@@ -92,7 +92,7 @@ Une présentation **inactive** (terminée ou abandonnée) est une archive : **pu
 | `doc_presentation_messages.client_key` | clé d'idempotence d'envoi | idem |
 | `doc_presentation_attendees.name` / `doc_presentation_attendees.email` / `doc_presentation_attendees.avatar` | identité du participant | purgées avec la présentation |
 | `doc_presentation_attendees.attendee_key` | identifiant de présence | idem |
-| `doc_presentation_attendees.creator_ip_hash` | **empreinte tronquée** de l'IP qui a créé la ligne (jamais l'IP en clair) — sert au plafond de création anonyme (migration 0015) | purgée avec la présentation |
+| `doc_presentation_attendees.creator_ip_hash` | **empreinte tronquée** de l'IP qui a créé la ligne (jamais l'IP en clair) — sert au plafond de création anonyme (migration 0015). ⚠️ **Donnée PSEUDONYMISÉE, pas anonyme** : une IP hachée reste une donnée personnelle au sens du RGPD, et un SHA-256 non salé se recalcule intégralement sur l'espace IPv4. Depuis 0.1.114 l'empreinte est un HMAC salé par `PLAYER_IP_HASH_SECRET` (à défaut `PLAYER_PRESENCE_SECRET`, avec séparation de domaine) et liée au `slug`, ce qui empêche de corréler une même adresse d'une présentation à l'autre. Sans sel configuré, l'ancienne empreinte non salée subsiste. | purgée avec la présentation |
 | `doc_presentation_attendees.last_token_at` / `doc_presentation_attendees.last_no_token_at` | horodatage du dernier battement avec / sans jeton de présence — sert au compteur de transition (migration 0017), aucune donnée d'identité | purgés avec la présentation |
 | `doc_presentation_attendees.pages` | pages vues par le participant | idem |
 

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "discovery-media-player",
-  "version": "0.1.113",
+  "version": "0.1.114",
   "description": "Self-hosted document viewer: per-recipient tracked links, reading analytics, live presentation. The core knows nothing about the application hosting it — everything it borrows arrives through an injected context.",
   "keywords": [
     "pdf-viewer",

package/server/routes-direct.js

@@ -94,11 +94,6 @@ async function traiter(req, res, body, _slug) {
           // On dérive donc la clé de ce qui est prouvé, et jamais de ce qui est affirmé. Un anonyme,
           // lui, ne peut rien prouver : sa clé reste la sienne, mais enfermée dans un espace de noms
           // dont elle ne peut pas sortir — elle ne pourra jamais ressembler à l'e-mail d'un membre.
-          // ⚠️ L'IP NE PART PAS EN CLAIR VERS LA BASE : le plafond de création anonyme compte par
-          // (slug, empreinte d'IP), et une empreinte tronquée suffit à mesurer la pression d'un même
-          // appelant sans conserver de donnée personnelle. Le plafond lui-même est configurable par
-          // l'hôte, défaut ATTENDEES_PER_EGRESS × 1,3 (325) — la même cible que le quota de battement.
-          const ipHash = require("crypto").createHash("sha256").update("att:" + ip).digest("hex").slice(0, 32);
           const anonCap = (PLAYER.config && Number(PLAYER.config.presenceAnonCap) > 0)
             ? Math.trunc(Number(PLAYER.config.presenceAnonCap))
             : Math.ceil(ATTENDEES_PER_EGRESS * 1.3);
@@ -112,6 +107,26 @@ async function traiter(req, res, body, _slug) {
             ? PLAYER.identity.verifyPresenceToken(String(body.pt || "")) : null;
           const jetonValide = !!(jetonEntrant && jetonEntrant.slug === slug && jetonEntrant.key);
           const cleAnon = jetonValide ? String(jetonEntrant.key) : cleAnonyme(body.key);
+          // ⚠️ L'IP NE PART PAS EN CLAIR VERS LA BASE — mais NE PRÉTENDONS PAS QUE C'EST ANONYME.
+          //
+          // Ce commentaire disait « sans conserver de donnée personnelle », et c'était FAUX : un
+          // SHA-256 d'adresse IPv4 se recalcule intégralement (quatre milliards de valeurs, quelques
+          // minutes), donc l'empreinte se remonte à l'adresse par qui obtient la base. La CNIL est
+          // explicite : une IP hachée reste une donnée PSEUDONYMISÉE, soumise au RGPD. La description
+          // était plus forte que l'implémentation — la classe même qu'on traque ailleurs.
+          //
+          // Avec un SEL SECRET, la table cesse d'être recalculable sans lui. Le `slug` entre dans
+          // l'empreinte pour qu'on ne puisse pas CORRÉLER la présence d'une même adresse d'une
+          // présentation à l'autre — le plafond, lui, compte déjà par (slug, empreinte), donc rien ne
+          // change pour lui. Le préfixe de domaine sépare cet usage de toute autre signature faite
+          // avec le même secret. Sans sel (hôte qui n'en pose aucun), on retombe sur l'ancienne
+          // empreinte : la fonction marche, la protection est moindre, et c'est écrit ici plutôt que
+          // découvert plus tard. Le plafond reste configurable, défaut ATTENDEES_PER_EGRESS × 1,3.
+          const sel = String((PLAYER.config && PLAYER.config.ipHashSecret) || "");
+          const ipHash = sel
+            ? require("crypto").createHmac("sha256", sel).update("attendance-ip\0" + slug + "\0" + ip).digest("hex").slice(0, 32)
+            : require("crypto").createHash("sha256").update("att:" + ip).digest("hex").slice(0, 32);
+
           // ⚠️ ON SIGNE AVANT D'ÉCRIRE, ET C'EST CE QUI FERMAIT UNE BOUCLE. Le jeton était fabriqué
           // APRÈS l'écriture : on déclarait donc un bootstrap « moderne » sans savoir si un jeton
           // pourrait seulement sortir. Sans `PLAYER_PRESENCE_SECRET`, la ligne était marquée réclamée